ハマショー2

収集 / 本体 : @hamasho_sec

[avtokyo @avtokyo]

今年も AVTOKYO2026 ！

📅 2026年11月21日（土）※今年は土曜日に戻ります
📅 November 21, 2026 (Sat) — back to Saturday!
📍 TK NIGHTCLUB, Shibuya, Tokyo

CFP/CFX will open soon.

no drink, no hack.
https://t.co/iOWMNuNOqU
#avtokyo

[JPCERTコーディネーションセンター @jpcert]

ブログ JPCERT/CC Eyes「ツール分析結果シートのアップデート」を公開。アップデートされたツール分析結果シートの概要、活用方法などを紹介しています。^YS　
https://t.co/nwKxf8y2xC

[GMOサイバーセキュリティ byイエラエ株式会社【公式】 @gmo_ierae]

LT1: 激増するAI悪用攻撃に対抗する守りのAI活用最前線 https://t.co/oGNOVS8NbN

[MigawariIV @strinsert1Na]

[Slides] I’ve uploaded the TLP:CLEAR version of the slides from my presentation at #BSidesTokyo 2026🤠

About the fake 7-Zip installer campaign that made headlines in Japan.

Ghost in the 7‑Zip: The Shadow of Residential Proxies Creeping into Your Life https://t.co/Xl5TArE8hP

[Nasotasy @nasotasy]

Mythosで���に騒ぎ出した界隈への違和感と現実解の整理｜Nasotasy https://t.co/H7nefSrzUs 書きました！AI×セキュリティでざわつく界隈にも届いてコメントもらえると嬉しい。

[Tinydile @Tinydile]

[Slides/資料公開] 本日のBSides Tokyo 2026での講演資料です。

TLPT2.0の提案 －「敵を知る」と「自分を知る」の分離
(A Proposal for TLPT 2.0: Decoupling "Knowing the Enemy" from "Knowing Yourself")

https://t.co/KddOdQOrcd

#BSidesTokyo #TLPT #レッドチーム #RedTeam

[BleepingComputer @BleepinComputer]

🚨 BREAKING: Hackers are now exploiting the cPanel authentication bypass flaw (CVE-2026-41940) to deploy "Sorry" ransomware on compromised websites.

Numerous sources say attacks began Thursday, with threat actors breaching servers and deploying a Go-based Linux encryptor that appends the .sorry extension to files.

What the ransomware does:

🔴 Encrypts files and appends the ".sorry" extension.
🔴 Protects the encryption key with an embedded RSA-2048 public key
🔴 Drops a README.md ransom note in every folder
🔴 Uses a fixed Tox ID for ransom negotiations

Victims are being instructed to contact the attacker via Tox to pay for decryption.

This is not related to the older 2018 HiddenTear ".sorry" ransomware. This is a new, Linux-targeting encryptor tied directly to active cPanel exploitation.

If you're running cPanel or WHM, patch immediately.

[Kostas @Kostastsale]

RMM hunting is one of those areas where defenders get stuck because the answer is rarely “just block it.”

On a day-to-day basis, from the intrusions we see, 𝗦𝗰𝗿𝗲𝗲𝗻𝗖𝗼𝗻𝗻𝗲𝗰𝘁, 𝗦𝗽𝗹𝗮𝘀𝗵𝘁𝗼𝗽, 𝗔𝗻𝘆𝗗𝗲𝘀𝗸, and 𝗥𝘂𝘀𝘁𝗗𝗲𝘀𝗸 are some of the most abused RMMs.

All of these can be legitimate. All of these are also regularly abused.

That makes them annoying to detect, especially if you work in an MSSP or an environment where remote admin tooling is everywhere.

But there is a useful hunting angle here.

ScreenConnect is still one of the most common by far. A pattern I’ve noticed recently is threat actors installing multiple ScreenConnect clients on the same host with different profile configurations, each connecting to different domains.

That looks a lot like access staging or access resale.

The interesting part is that this creates artifacts defenders can hunt for.

𝘐𝘯 𝘵𝘩𝘦 𝘧𝘪𝘳𝘴𝘵 𝘴𝘤𝘳𝘦𝘦𝘯𝘴𝘩𝘰𝘵, 𝘺𝘰𝘶 𝘤𝘢𝘯 𝘴𝘦𝘦 𝘩𝘰𝘸 𝘥𝘪𝘧𝘧𝘦𝘳𝘦𝘯𝘵 𝘚𝘤𝘳𝘦𝘦𝘯𝘊𝘰𝘯𝘯𝘦𝘤𝘵 𝘪𝘯𝘴𝘵𝘢𝘭𝘭𝘢𝘵𝘪𝘰𝘯 𝘱𝘳𝘰𝘧𝘪𝘭𝘦𝘴 𝘸𝘰𝘶𝘭𝘥 𝘭𝘰𝘰𝘬. 𝘐𝘯 𝘵𝘩𝘪𝘴 ��𝘢𝘴𝘦, 𝘵𝘩𝘦 𝘱𝘢𝘵𝘵𝘦𝘳𝘯 𝘪𝘴 𝘣𝘢𝘴𝘪𝘤𝘢𝘭𝘭𝘺 𝙎𝙘𝙧𝙚𝙚𝙣𝘾𝙤𝙣𝙣𝙚𝙘𝙩 𝘾𝙡𝙞𝙚𝙣𝙩 𝘧𝘰𝘭𝘭𝘰𝘸𝘦𝘥 𝘣𝘺 𝘢 𝘳𝘢𝘯𝘥𝘰𝘮 𝘶𝘯𝘪𝘲𝘶𝘦 16-𝘤𝘩𝘢𝘳𝘢𝘤𝘵𝘦𝘳 𝘢𝘭𝘱𝘩𝘢𝘯𝘶𝘮𝘦𝘳𝘪𝘤 𝘷𝘢𝘭𝘶𝘦.

That is a very useful hunting signal.

Red flags:

- Multiple ScreenConnect profiles on one host
- Multiple ScreenConnect installations
- Installs under both 𝗖:\𝗣𝗿𝗼𝗴𝗿𝗮𝗺 𝗙𝗶𝗹𝗲𝘀*\ and 𝗔𝗽𝗽𝗗𝗮𝘁𝗮
- Different configured remote domains
- Suspicious or unexpected 𝘀𝘆𝘀𝘁𝗲𝗺.𝗰𝗼𝗻𝗳𝗶𝗴 files

The 𝘀𝘆𝘀𝘁𝗲𝗺.𝗰𝗼𝗻𝗳𝗶𝗴 file is especially useful. It exists inside the ScreenConnect installation directory and can expose the domain and certificate information used by the client to connect back to the remote server.

This is the main point:

Don’t hunt only for the presence of RMM, hunt for RMM drift.

Unexpected profiles -> Unexpected paths -> Unexpected domains. Unexpected configs.

That is where RMM abuse starts becoming visible.

[ねこさん⚡(ΦωΦ) @catnap707]

競争参加資格関連：調達情報 - 内閣府 https://t.co/TIS3vbNpkN
[PDF]令和８年４月１０日～令和８年１０月９日
ストーンビートセキュリティ株式会社
https://t.co/hoSEoM2gWi
[PDF]令和８年４月１０日～令和８年９月９日
ストーンビートセキュリティ株式会社
https://t.co/qwYQDK4sLB

[Co11ateral @co11ateral]

New Mimikatz

Researchers took an old version of Mimikatz and taught it how to dump credentials from the latest operating systems!

The research: https://t.co/JxZwg135Mr

The repo:
https://t.co/Lpsu09AMng

#redteam #pentesting

[Nasotasy @nasotasy]

今日の夜はCloudSec JP にお邪魔させてい��だき「攻撃者はクラウドをどう使うのか」の題目でお話しします。どのように攻撃の痕跡を探すのか？も軽く触れます。https://t.co/yVI1yjLTV5 #cloudsecjp

[SANS DFIR @sansforensics]

One artifact rarely tells the full story.

Jump Lists. LNK files. Prefetch.

Each captures different activity on a Windows system.

The challenge is connecting them.

👇 Quick reference in the playbook
👉 https://t.co/qxh3QNP0SU

[adam_cyber @Adam_Cyber]

@CrowdStrike intel analysis of the recent Axios supply chain incident with attribution assessment:

https://t.co/lagCSjyVnq

[Mandiant (part of Google Cloud) @Mandiant]

Google Threat Intelligence Group is tracking an active supply chain attack 🔎

North Korea-nexus actor UNC1069 compromised the "axios" NPM package (v1.14.1 & 0.30.4), deploying the WAVESHAPER.V2 backdoor across Windows, macOS, and Linux.

Learn more: https://t.co/pII35aPpRA

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【注意】axios 1.14.1 + 0.30.4 としてマルウェアが公開されています。公開は 9:21 頃で、Takumi Guard でも 11:31 から観測＆ブロックを開始しています。一部ユーザーがダウンロードしてしまっているのも確認しています。何卒ご自衛＆ご確認を🙇

※ 諸都合で初報飛びすぎました、すみません……

[Feross @feross]

🚨 CRITICAL: Active supply chain attack on axios -- one of npm's most depended-on packages.

The latest [email protected] now pulls in [email protected], a package that did not exist before today. This is a live compromise.

This is textbook supply chain installer malware. axios has 100M+ weekly downloads. Every npm install pulling the latest version is potentially compromised right now.

Socket AI analysis confirms this is malware. plain-crypto-js is an obfuscated dropper/loader that:

• Deobfuscates embedded payloads and operational strings at runtime
• Dynamically loads fs, os, and execSync to evade static analysis
• Executes decoded shell commands
• Stages and copies payload files into OS temp and Windows ProgramData directories
• Deletes and renames artifacts post-execution to destroy forensic evidence

If you use axios, pin your version immediately and audit your lockfiles. Do not upgrade.

[Minoru Kobayashi @unkn0wnbit]

A new forensic artifact collector, Washizukami #DFIR https://t.co/M9cvfiFYaU

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

LiteLLM マルウェアの件、挙動の初動調査をしました＆対応指針大まかに記述しました。
・1.82.7 がシビアそう。
・1.82.8 はバグっていそう。攻撃の完遂は難しそう。
https://t.co/EDaKE2LbBD

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

[論文] インシデント分析にLLMを活用する際、RAG（関連情報をLLMに補足する手法）による前処��の有無でどれほど性能差が出るかを、8つのLLM構成と実際のマルウェアトラフィックで体系的に比較した論文。MITRE ATT&CKに紐づけたクエリでSIEMログをフィルタリングし、RAGで関連ログをLLMのコンテキストに渡して「感染端末はどれか」「C2はどこか」といったインシデント調査の問いに自動回答させるシステムを評価しています。

RAGなしのベースラインでは、コンテキストウィンドウに収まるログが全体の数%にとどまり、被害ホストのIPやホスト名は拾えるものの、悪性ドメインやC2サーバーは全件検出に失敗したとの結果。
攻撃の痕跡がログの後半に集中しており、先頭から詰め込むだけでは届かないことが原因とされています。
今回の実験条件では、攻撃インフラの把握にはログの前処理と複数ソースの横断的な突合が必要だったとの結論。

【評価結果の要点】

・Dartmouth College、Northeastern University、Punch Cyber Analyticsの研究グループがarXivで2026年3月18日に公開。malware-traffic-analysis[.]netの公開マルウェアPCAPデータ4種とActive Directory環境でのレッドチーム演習データを使用

・Claude Sonnet 4とDeepSeek V3がマルウェアシナリオ4種すべてでリコール100%を達成。DeepSeek V3のコストは1分析あたり約$0.008で、Claude Sonnet 4（$0.12）の15分の1。運用規模（1日1,000分析）に換算すると月額$240対$3,600

・セキュリティ特化モデルのCisco Foundation-Sec-8Bはリコール90%で、汎用モデルのLlama 3.1:70b（95%）を下回る。ドメイン特化のプレトレーニングよりも推論能力のほうがフォレンジック分析には効くとの結論

・GPT-5.2はFake Authenticatorシナリオでリコール60%にとどまり、Windowsのマシンアカウント（DESKTOP-xxx$）とユーザーアカウントを混同する推論エラーがコンテキスト量を増やしても解消されないパターンが確認されている

・Active Directoryの多段攻撃（Metasploit→証明書テンプレート悪用→Kerberos横展開→PSExec）では精度100%・リコール82%を達成。ESC1証明書悪用の検出では、証明書発行ログのSubjectとSANの不一致を複数チャンクにまたがって認識し、特権昇格の経路として正しく再構築できている

アーキテクチャ自体はCyberRAGやAgCyRAGなど先行研究と重なる部分が多く、RAG＋LLMでセキュリティログを分析するという枠組みに目新しさがあるわけではないですが、LLMプロバイダ間のコスト対性能比較や、RAGの有無で生じる性能差といった、SOC運用の意思決定に直結する定量データを体系的に示した点が本研究のポイント。
一方、LLMのバージョンアップは急速で、コンテキストウィンドウも���大しており、RAGなしベースラインの前提条件自体が今後変わっていく可能性があります。
RAGによる前処理がどの規模のログまで優位性を保つのかは、モデルの進化とあわせて継続的に検証が必要になりそうです。

https://t.co/ifbuLlIAY7

[JPCERTコーディネーションセンター @jpcert]

ブログ JPCERT/CC Eyes「Windowsのイベントログ分析トレーニング用コンテンツの公開」を公開しました。標的型攻撃によってセキュリティインシデントが発生した際の調査手法などをまとめたトレーニングコンテンツについて紹介しています。^YS
https://t.co/ugh1uap8S6